Jako firma zajmująca się tworzeniem oprogramowania coraz częściej otrzymujesz listę kontrolną bezpieczeństwa od klienta, który podlega ustawie o cyberbezpieczeństwie. Ten sam obowiązek ochrony, który zobowiązuje twojego klienta wobec ciebie, zobowiązuje również ciebie do czegoś: oceny, którzy z twoich własnych dostawców mają wpływ na bezpieczeństwo tego, co budujesz i dostarczasz. Polityka dostawców to sposób, aby uczynić tę ocenę powtarzalną, zamiast za każdym razem na nowo zastanawiać się, komu właściwie ufasz.
Krótka odpowiedź: zacznij od przeglądu tego, kto znajduje się w twojej linii rozwojowej i w twoim dostarczanym oprogramowaniu, podziel tych dostawców na kategorie według ryzyka, które stanowią, i dla każdej kategorii ustal, jakie wymagania stawiasz i jak to kontrolujesz. Ten przegląd i ten podział razem tworzą politykę dostawców.
Dwa rodzaje dostawców, jedna ślepa plamka
Przy tworzeniu oprogramowania dwa łańcuchy przeplątają się ze sobą, co sprawia, że polityka dostawców jest bardziej skomplikowana niż w przypadku firmy, która kupuje tylko towary fizyczne.
Pierwszym łańcuchem jest twoja linia rozwojowa: menedżer kodu źródłowego, potok CI/CD, środowisko chmury, na którym budujesz, narzędzia do testowania i wdrażania. Słaby punkt tam bezpośrednio wpływa na twoją własną działalność.
Drugim łańcuchem jest to, co trafia do twojego produktu: biblioteki otwartego oprogramowania, interfejsy API stron trzecich, kupowane komponenty. Słaby punkt tam wpływa nie tylko na ciebie, ale także na każdego klienta, który używa twojego oprogramowania. To różnicowanie to dokładnie to, gdzie wiele polityk dostawców ma braki: uwaga skupia się na pierwszym łańcuchu, ponieważ jest on widoczny w codziennej pracy, podczas gdy drugi łańcuch często staje się widoczny dopiero w momencie, gdy coś pójdzie nie tak.
Inwentaryzacja: zacznij od tego, co już działa
Polityka dostawców nie zaczyna się od szablonu, ale od listy. Dla tworzenia oprogramowania oznacza to co najmniej: jakich dostawców usług chmury używasz, które menedżery pakietów i rejestry pobiera twój proces budowania, które zewnętrzne interfejsy API Twój produkt wywołuje, i którzy z nich mogą mieć dostęp do kodu, tajemnic lub danych produkcyjnych.
Dla każdego dostawcy pytanie to nie tylko to, co robią, ale co się stanie, jeśli wypadną lub zostaną skompromitowani. Menedżer pakietów, z którego pochodzi setki zależności, ma inną wagę niż pakiet fakturowy, który działa niezależnie od linii rozwojowej.
Klasyfikacja ryzyka: nie każdy dostawca zasługuje na taką samą uwagę
Po inwentaryzacji następuje klasyfikacja, zwykle na dwa lub trzy poziomy. Dostawcy z dostępem do kodu źródłowego, tajemnic lub środowisk produkcyjnych wymagają najtrudniejszych wymagań: mocne uwierzytelnianie, rejestrowanie, stały punkt kontaktowy w przypadku incydentów. Dostawcy, którzy pracują tylko pośrednio, tacy jak narzędzie do planowania projektów, wymagają mniej.
Dyrektywa i ustawa krajowa nie przewidują stałej klasyfikacji; organy nadzoru patrzą na to, czy środki są proporcjonalne do ryzyka. Oznacza to, że wybrana przez ciebie klasyfikacja musi być uzasadniona: dlaczego ten dostawca wpada do ciężkiej kategorii, a tamten nie.
Co pytasz i co sam już odpowiadasz
Polityka dostawców działa w dwie strony. Na zewnątrz używasz jej do zadawania pytań swoim własnym dostawcom: jak radzą sobie z lukami w zabezpieczeniach, czy mają proces weryfikacji wieloskładnikowej, jak szybko zgłaszają ci incydent. Wewnętrznie stanowi podstawę dla tego, co sam odpowiadasz na listy kontrolne swoich klientów, ponieważ klient, który cię ocenia, chce często wiedzieć, czy masz kontrolę nad własnym łańcuchem dostaw.
Te dwie strony są ze sobą powiązane: polityka dotycząca dostawców, którą piszesz tylko dla siebie, zwykle nie pasuje do pytań, które otrzymujesz od klientów. Jeśli politykę tworzysz od początku z myślą o tym, co pyta nabywca, nie będziesz jej musiał przepisywać później.
Dokumentowanie: od polityki do dowodu
Polityka, która istnieje tylko w dokumencie tekstowym, jest trudna do uzasadnienia w momencie, gdy klient lub organ nadzoru pyta o nią. Praktyczniejsze jest działające zestawienie: dla każdego dostawcy kategoria ryzyka, ostatnia ocena, dowód taki jak oświadczenie, certyfikat lub odpowiedź na twoją własną listę pytań, oraz osoba w twojej organizacji, która monitoruje tego dostawcę.
Takie zestawienie nie musi być duże, aby było użyteczne. Dla firmy zajmującej się oprogramowaniem z kilkoma krytycznymi dostawcami tabela z kilkoma kolumnami jest często wystarczająca, o ile pozostaje aktualna, gdy dostawca się zmienia lub umowa jest odnawiana.
Czy chcesz najpierw wiedzieć, czy twoja organizacja sama podlega obowiązkowi dołożenia należytej staranności, czy tylko poprzez swoich klientów? wykonaj darmową ocenę w kilka pytań i przeczytaj na stronie ze wszystkimi tematami jak ocena dostawców wiąże się z innymi obowiązkami. Ciekaw, skąd informacje na tej platformie pochodzą i jak aktualne są? To wyjaśniono na stronie wyjaśniającej, jak to działa. Kto chce przekształcić zestawienie dostawców w dossier z dowodami i odpowiedzialnymi osobami, znajduje na stronie z abonamentami co jest do tego potrzebne.